Security
N-able nahm seine gehostete Fernwartung wegen veröffentlichter Zero-Days offline
N-able schaltete das gehostete N-central am 9. November 2026 ab, nachdem ein Forscher über 30 angebliche Zero-Days veröffentlicht hatte, zwei Tage später kam ein Hotfix für sieben kritische CVEs.
Das Wichtigste
- Der Forscher Sean Bales veröffentlichte am 8. November 2026 über 30 angebliche N-central-Zero-Days samt funktionierender Angriffe und nennt die Arbeit KI-gestützt.
- N-able nahm die gehostete Umgebung am 9. November offline und riet Kunden mit eigener Installation, ihre Server vorläufig abzuschalten.
- Die Release Notes von N-able führen Hotfix HF2, Build 2026.4.1.26, vom 10. November, laut BleepingComputer schließt er sieben kritische CVEs.
- Die Zahl der aus dem Internet erreichbaren N-central-Installationen sank Berichten zufolge binnen Tagen von 1.338 auf etwa 148.
Auf dieser Seite
Was ist mit N-able N-central passiert?
N-able hat seine gehostete Fernwartungsplattform abgeschaltet, nachdem ein Forscher mehr als 30 angebliche Zero-Day-Lücken darin veröffentlicht hatte. Laut BleepingComputer stellte Sean Bales die Schwachstellen samt funktionsfähiger Beispielangriffe am späten Sonntagabend des 8. November 2026 auf GitHub, nach eigener Aussage KI-gestützt gefunden. N-able reagierte am 9. November: "we took our Hosted N-central environment offline today, November 9, and provided guidance to customers operating on-premises N-central servers to temporarily take their servers offline until further notice." Das Unternehmen erklärte, keine aktive Ausnutzung beobachtet zu haben, und sprach von einer nicht verantwortungsvollen Offenlegung.
Zu den gemeldeten Lücken gehören Umgehungen der Anmeldung, Offenlegung von Zugangsdaten, beliebige Schreibzugriffe, Directory Traversal, Cross-Site-Scripting, XML-External-Entity-Injektion und Codeausführung aus der Ferne, demonstriert an der Vorabversion 2026.4.0.31 der N-central-Appliance. Bales geht davon aus, dass die meisten oder alle Fehler auch frühere Versionen betreffen.
Wie viele Lücken wurden tatsächlich geschlossen?
Die Release Notes von N-able führen N-central 2026.4 HF2, Build 2026.4.1.26, vom 10. November 2026 als "a critical security update". BleepingComputer berichtete am 11. November, der Hotfix behebe sieben kritische CVEs, darunter XML-External-Entity-Injektion, OGNL-Injektion, lokale Rechteausweitung, gespeichertes Cross-Site-Scripting, Server-Side Request Forgery, Codeausführung über Path Traversal und unsichere Interprozesskommunikation. Das sind deutlich weniger als die ursprünglich genannten über 30, und die Differenz ist öffentlich nicht aufgelöst. Beide Zahlen sind daher als Berichtsstand zu lesen, nicht als gesicherter Befund.
Ein früherer Hotfix, HF1 mit Build 2026.4.0.32 vom 2. November, hatte bereits CVE-2026-98432 geschlossen, eine Linux-Kernel-Lücke mit CVSS 9.8, dazu CVE-2026-111497 und CVE-2026-114406.
Wöchentlich, Donnerstagvormittag, mitteleuropäische Zeit.
Das Thinking-Briefing
Eine E-Mail pro Woche: was sich bei europäischer Unternehmenssoftware geändert hat, welche Preise sich bewegt haben und welchen Vergleich wir veröffentlicht haben. Keine Werbepost.
Läuft die gehostete Plattform wieder?
Ja. Nach Angaben von N-able sind alle gehosteten N-central-Server in allen Regionen aktualisiert und der Betrieb wiederhergestellt. Kunden mit eigener Installation sollen sofort aktualisieren und die veröffentlichte Anleitung befolgen, bevor sie den normalen Zugriff wieder öffnen. BleepingComputer berichtete, dass innerhalb von 24 Stunden nach der Veröffentlichung nach diesen Lücken gescannt wurde und die Zahl der im Internet erreichbaren Installationen binnen Tagen von 1.338 auf etwa 148 fiel.
Was das für kleine und mittlere Betriebe in Europa bedeutet
Die meisten kleinen Betriebe in Europa haben von N-central nie gehört, und genau darin liegt der Punkt: Es ist das Werkzeug, mit dem der IT-Dienstleister auf die eigenen Rechner zugreift. Wer eine Fernwartungsplattform übernimmt, übernimmt jeden daran hängenden Endpunkt. Die richtige Frage dieser Woche lautet deshalb nicht "sind wir gepatcht", sondern "betreibt unser Dienstleister N-central, war die Installation aus dem Internet erreichbar, und ist sie aktualisiert". Schriftlich fragen, Antwort aufbewahren. Lautet die Antwort ja und stand der Server öffentlich, sind alle darüber gelaufenen Zugangsdaten als zu erneuern zu behandeln, ein guter Anlass, die eigene Verwaltung von Passwörtern zu prüfen, siehe /de/best/best-password-managers-2026. Handels- und Gastronomiebetriebe mit fernverwalteten Kassen und Backoffice sollten außerdem wissen, welcher Anbieter diesen Zugang hält, unsere Übersicht /de/best/best-pos-systems-luxembourg hält fest, wer was verwaltet.
Fragen und Antworten
Wurde N-central tatsächlich ausgenutzt?
Was sollten Betriebe mit ausgelagerter IT tun?
Quellen
- [1] BleepingComputer: N-able takes cloud platform offline after 30+ zero-days published abgerufen 2026-11-11
- [2] BleepingComputer: N-able releases security hotfixes for zero-day vulnerabilities abgerufen 2026-11-11
- [3] N-able status: N-central release notes abgerufen 2026-11-11
